Quellen-Tabelle

Das US-Justizministerium teilte mit, dass FTX-Gründer Samuel Bankman-Fried am 28. März 2024 zu 25 Jahren Haft und drei Jahren Bewährungsaufsicht verurteilt wurde. Er wurde für schuldig befunden, Kundengelder der im November 2022 kollabierten Kryptobörse FTX in Milliardenhöhe veruntreut, FTX-Investoren um mehr als 1,7 Milliarden Dollar und Alameda-Kreditgeber um mehr als 1,3 Milliarden Dollar betrogen zu haben. Das Gericht ordnete zudem eine Vermögenseinziehung von rund 11 Milliarden Dollar an.

Offen blieb laut Presseberichten, in welchem Umfang die angeordnete Einziehungssumme tatsächlich von Bankman-Fried eingetrieben werden kann, da er nach Richterangaben nicht über entsprechende Vermögenswerte verfügt. Bankman-Fried kündigte Berufung gegen das Urteil an, deren Ausgang zum Zeitpunkt der Mitteilung nicht feststand.

Am 23.03.2022 wurden fünf von neun Validator-Schlüsseln der Ronin-Bridge des Spieleentwicklers Sky Mavis (Axie Infinity) kompromittiert, wodurch Angreifer 173.600 Ether und 25,5 Millionen USDC im Gesamtwert von rund 625 Millionen Dollar abziehen konnten. Der Zugriff erfolgte laut Sky Mavis über einen manipulierten Gas-freien RPC-Knoten, nachdem ein leitender Ingenieur zuvor mit einem gefälschten Jobangebot geködert worden war. Das FBI bestätigte am 14.04.2022 offiziell, dass die nordkoreanische Lazarus-Gruppe verantwortlich war.

Wie genau der gefälschte Job-Köder technisch zum Zugriff auf den RPC-Knoten führte, wurde von Sky Mavis nur in groben Zügen offengelegt. Nur ein Bruchteil der gestohlenen Gelder wurde je sichergestellt, eine strafrechtliche Verurteilung einzelner Täter liegt bis heute nicht vor, da sich die Verantwortlichen mutmaßlich in Nordkorea befinden.

Am 10. August 2021 erbeutete ein Angreifer durch Ausnutzung einer Schwachstelle in den Smart Contracts des Cross-Chain-Protokolls Poly Network Kryptowerte im Wert von rund 600 Millionen Dollar auf den Blockchains Ethereum, Binance Smart Chain und Polygon. Bereits einen Tag später begann der Angreifer, den Großteil der Gelder zurückzuüberweisen, nachdem Poly Network öffentlich dazu aufgerufen hatte. Tether fror rund 33 Millionen Dollar der gestohlenen USDT-Bestände ein.

Die Identität des Angreifers wurde nie zweifelsfrei geklärt, seine angebliche Begründung, die Tat sei zum Spaß und zum Aufzeigen der Sicherheitslücke erfolgt, ist unbelegt. Nicht abschließend dokumentiert ist auch, ob der Angreifer allein handelte oder ob es Mittäter gab.

Laut US-Bundesanwaltschaft SDNY verkaufte OneCoin ab 2014 in Bulgarien eine erfundene Kryptowährung ohne echte Blockchain über ein weltweites Multi-Level-Marketing-Netzwerk und erbeutete so über 4 Milliarden Dollar von rund 3,5 Millionen Anlegern. Mitgründer Karl Sebastian Greenwood wurde am 12.09.2023 zu 20 Jahren Haft und 300 Millionen Dollar Einziehung verurteilt. Gründerin Ruja Ignatova wurde 2017 angeklagt, verschwand im Oktober 2017 und steht seit Juni 2022 auf der FBI-Liste der zehn meistgesuchten Flüchtigen.

Ruja Ignatovas Aufenthaltsort ist bis heute unbekannt, sie gilt weiter als flüchtig. Ein 2022 aufgetauchter Polizeibericht legt nahe, sie sei 2018 ermordet worden, ihre Leiche wurde jedoch nie gefunden. Spätere Hinweise auf mögliche Sichtungen sind nicht bestätigt, sodass offen bleibt, ob sie noch lebt.

Die SEC klagte Bill Hwang und weitere Führungskräfte von Archegos Capital Management wegen eines betrügerischen Schemas an. Hwang kaufte ab März 2020 auf Kredit Total Return Swaps und täuschte Banken systematisch über die tatsächliche Risikokonzentration seines Fonds. Als die Kurse der Positionen im März 2021 fielen, konnte Archegos Nachschussforderungen nicht bedienen, was zu Verlusten von über 10 Milliarden US-Dollar bei Banken wie Credit Suisse, Nomura, UBS und Morgan Stanley führte. Im Juli 2024 wurde Hwang für schuldig befunden und im November 2024 zu 18 Jahren Haft verurteilt.

Offen bleibt, wie hoch die tatsächlichen Gesamtverluste aller betroffenen Banken letztlich waren, da einzelne Institute unterschiedliche Zahlen nannten. Nicht abschließend geklärt ist zudem, inwieweit die beteiligten Prime-Broker-Banken durch eigenes Risikomanagement-Versagen zur Höhe der Verluste beitrugen.

Die BaFin verhängte am 3. März 2021 ein Moratorium über die Bremer Greensill Bank AG, nachdem diese keine Nachweise für Forderungen aus ihrer Lieferkettenfinanzierung vorlegen konnte. Am 16. März 2021 stellte die BaFin einen Entschädigungsfall fest und beantragte die Insolvenz beim Amtsgericht Bremen, das das Verfahren noch am selben Tag eröffnete. Kundeneinlagen werden über die gesetzliche Einlagensicherung bis 100.000 Euro entschädigt.

Die genaue Schadenshöhe für deutsche Kommunen und Sparkassen, die laut Medienberichten dreistellige Millionenbeträge bei der Greensill Bank angelegt hatten, wird in den BaFin-Mitteilungen nicht beziffert. Individuelle strafrechtliche oder aufsichtsrechtliche Verantwortlichkeiten von Bankmanagern waren zum Zeitpunkt der Veröffentlichung nicht abschließend geklärt.

Am 26. Januar 2018 stahlen Angreifer aus einer ungesicherten Hot Wallet der japanischen Kryptobörse Coincheck rund 523 Millionen NEM (XEM) im Wert von etwa 58 Milliarden Yen, umgerechnet rund 530 Millionen US-Dollar. Coincheck sicherte die Coins weder per Cold Wallet noch per Multisignatur ab, wovon rund 260.000 Kunden betroffen waren. Die japanische Finanzaufsicht FSA durchsuchte danach die Coincheck-Büros und erließ mehrere Verbesserungsanordnungen, Coincheck erstattete den Kunden im März 2018 rund 46,6 Milliarden Yen aus eigenen Mitteln.

Wer die Täter waren, ist bis heute nicht abschließend behördlich geklärt. Bloomberg berichtete unter Berufung auf Ermittler über einen Verdacht gegen Nordkorea, eine offizielle Bestätigung japanischer Behörden dafür liegt jedoch nicht vor.

InterContinental Hotels Group (IHG) bestätigte offiziell, dass Malware an Kassensystemen von mindestens 1175 US-Hotels zwischen dem 29. September und 29. Dezember 2016 Kreditkartendaten von Gästen abgriff. Erfasst wurden Karteninhabername, Kartennummer, Ablaufdatum und Sicherheitscode an Restaurant- und Rezeptionskassen. IHG hatte im Februar 2017 zunächst nur einen Vorfall an rund einem Dutzend Standorten eingeräumt, bevor das tatsächliche Ausmaß im April 2017 bekannt wurde.

Offen bleibt, wie die Angreifer initial in die Kassensysteme eindrangen und wer hinter dem Angriff steckt. Die genaue Zahl der betroffenen Kreditkarten bzw. Gäste wurde von IHG nicht beziffert.

Der US-Versicherungskonzern Prudential Financial meldete einen unautorisierten Zugriff auf seine Systeme am 4. Februar 2024. Die Ransomware-Gruppe Alphv/BlackCat reklamierte den Angriff für sich. In einer im Juni 2024 aktualisierten Meldung bezifferte Prudential die Zahl betroffener Personen auf 2.556.210, deutlich mehr als die zunächst im März genannten rund 36.000. Betroffen waren Namen, Adressen sowie Führerschein- und Ausweisnummern. Prudential bot den Betroffenen zwei Jahre kostenlose Kreditüberwachung an.

Wie die Angreifer ursprünglich ins Netzwerk gelangten, ist öffentlich nicht dokumentiert. Prudential selbst hat sich nie offiziell zur Urheberschaft von Alphv/BlackCat geäußert. Unklar bleibt zudem, ob und in welchem Umfang gestohlene Daten seither missbraucht wurden.

Caesars Entertainment bestätigte in einer SEC-Pflichtmitteilung, dass ein unbefugter Akteur durch Social Engineering gegen einen externen IT-Dienstleister Zugriff auf die Datenbank des Treueprogramms erlangte. Dabei wurden Führerscheinnummern und/oder Sozialversicherungsnummern einer erheblichen Zahl von Mitgliedern gestohlen. Laut Presseberichten zahlte Caesars rund 15 Millionen US-Dollar Lösegeld, die Angriffsgruppe wird der als Scattered Spider bekannten Gruppe zugeschrieben.

Die genaue Höhe der Lösegeldzahlung und die vollständige Identität der Angreifer sind nicht Teil der offiziellen SEC-Mitteilung, sondern stammen aus Presseberichten unter Berufung auf anonyme Quellen. Ob die gestohlenen Daten nach Zahlung tatsächlich gelöscht wurden, konnte das Unternehmen selbst laut eigener Aussage nicht garantieren.

Am 08.11.2023 legte die Ransomware-Gruppe LockBit die IT-Systeme von ICBC Financial Services lahm, der US-Tochter der chinesischen Großbank ICBC. Die Angreifer nutzten eine Citrix-NetScaler-Schwachstelle aus, blockierten E-Mail-Zugänge und die Anbindung an die Clearingstelle DTCC, sodass zahlreiche Trades mit US-Staatsanleihen nicht fristgerecht abgewickelt werden konnten. Am 20.02.2024 bestätigte das US-Finanzministerium mit Sanktionen gegen zwei mutmaßliche LockBit-Mitglieder offiziell den Zusammenhang mit dem Angriff.

Ob und in welcher Höhe ICBC tatsächlich ein Lösegeld zahlte, ist offiziell nicht bestätigt, LockBit behauptete lediglich eine erfolgte Zahlung. Das genaue Ausmaß der Marktstörung bleibt umstritten, Analysen nennen einen Anstieg gescheiterter Trades auf rund 60 Milliarden US-Dollar.

Truist Bank bestätigte im Juni 2024 einen Cyberangriff, der bereits im Oktober 2023 stattgefunden hatte. Der Hacker Sp1d3r bot im Darknet Daten von rund 65.000 Truist-Mitarbeitern sowie Kundendaten wie Kontonummern und Transaktionsdetails zum Kauf an, zusammen mit dem Quellcode des telefonischen Überweisungssystems. Die Bank begann erst ab Mai 2024 mit der Benachrichtigung betroffener Kunden, rund sieben Monate nach dem eigentlichen Vorfall.

Wie viele Kunden neben den 65.000 Mitarbeitern konkret betroffen waren, wurde nicht abschließend beziffert. Ob die im Darknet angebotenen Daten tatsächlich verkauft oder für Betrug missbraucht wurden, ist nicht belegt.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei automatisiertem Bonitätsscoring einen Anspruch auf präzise und verständliche Erläuterung der konkret angewandten Verfahren haben. Ausgangspunkt war eine Beschwerde gegen die Auskunftei Dun & Bradstreet Austria (vormals Bisnode Austria), die einem Mobilfunkkunden per automatisierter Bewertung die Bonität abgesprochen hatte. Geschäftsgeheimnisse rechtfertigen laut Urteil keine pauschale Auskunftsverweigerung.

Das Urteil ist eine Vorabentscheidung zur DSGVO-Auslegung, kein Bußgeldbescheid. Ob die österreichische Datenschutzbehörde am Ende ein Bußgeld gegen die Auskunftei verhängte, geht aus dieser Quelle nicht hervor. Wie der ursprüngliche Fall nach Zurückverweisung konkret endete, bleibt offen.

Laut SEC-Meldung von Coinbase bestachen Angreifer mehrere externe Support-Mitarbeiter, um Kundendaten aus internen Systemen zu stehlen. Betroffen waren rund 69.461 Nutzer, erbeutet wurden unter anderem Namen, Adressen, maskierte Sozialversicherungsnummern und Ausweisfotos. Am 11. Mai 2025 forderten die Täter 20 Millionen Dollar Lösegeld, Coinbase lehnte die Zahlung ab und setzte stattdessen eine Belohnung von 20 Millionen Dollar für Hinweise aus.

Offen bleibt die genaue Zahl und Identität aller bestochenen Support-Mitarbeiter sowie das vollständige Ausmaß der internen Dokumente, die abgeflossen sind. Nicht abschließend beziffert ist der tatsächliche finanzielle Gesamtschaden durch Betrugsfälle bei betroffenen Kunden.

Die US-Kreditauskunftei TransUnion entdeckte am 30.07.2025 einen unbefugten Zugriff auf eine bei ihr eingesetzte Drittanbieter-Anwendung, der Angriff selbst hatte am 28.07.2025 stattgefunden. Betroffen waren die Daten von mehr als 4,4 Millionen Personen in den USA, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Rechnungsadressen, E-Mail-Adressen und Telefonnummern. TransUnion ordnete den Zugriff einer über Salesforce-verbundene Apps laufenden Kampagne zu und bot Betroffenen 24 Monate kostenlose Kreditüberwachung an.

TransUnion und Salesforce betonten, dass die Kern-Salesforce-Anwendung selbst nicht kompromittiert war, der Zugriff erfolgte über eine verbundene Drittanbieter-App. Die genaue Identität der für den Angriff verantwortlichen Gruppe wurde von TransUnion nicht offiziell bestätigt, Medienberichte ordneten ihn ShinyHunters zu.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei einer ausschließlich automatisierten Bonitätsbewertung nach Artikel 15 Absatz 1 Buchstabe h DSGVO Anspruch auf eine konkrete, nachvollziehbare Erklärung des angewandten Verfahrens haben. Die bloße Offenlegung des Algorithmus oder einer mathematischen Formel genügt laut Urteil nicht. Ein pauschaler Verweis auf Geschäftsgeheimnisse darf den Auskunftsanspruch nicht von vornherein ausschließen, strittige Informationen müssen im Streitfall der Aufsichtsbehörde oder einem Gericht zur Abwägung vorgelegt werden.

Das zugrunde liegende Verfahren betraf einen österreichischen Fall bei Dun und Bradstreet Austria, nicht die deutsche Schufa. Eine unmittelbare Übertragung der Maßstäbe auf deutsche Auskunfteien liegt nahe, ist aber nicht Gegenstand dieses Urteils.

Im Mai 2024 versuchten Betrüger, eine Führungskraft der Werbeholding WPP mithilfe von Deepfake-Technologie zu täuschen. Sie legten ein WhatsApp-Konto mit einem öffentlichen Foto von WPP-CEO Mark Read an und luden eine leitende Mitarbeiterin zu einem Microsoft-Teams-Meeting ein, in dem eine KI-Stimmklon-Version sowie YouTube-Aufnahmen von Read eingesetzt wurden. Ziel war die Herausgabe von Geld und persönlichen Daten für die angebliche Gründung einer neuen Firma, der Versuch scheiterte laut WPP an der Wachsamkeit der beteiligten Person.

Welche konkrete Software für die Stimmklonierung eingesetzt wurde und wer hinter dem Angriff steckt, ist nicht öffentlich bekannt. Die genaue angestrebte Schadenssumme wurde nicht beziffert, da kein Geld floss.

Der US-Zahlungsdienstleister CardSystems Solutions entdeckte im Mai 2005 einen Einbruch, bei dem Angreifer per SQL-Injection Schadcode in eine webbasierte Anwendung einschleusten, der alle vier Tage Kreditkartendaten sammelte und per FTP versandte. Bis zu 40 Millionen Karten von Visa, Mastercard und weiteren Anbietern waren betroffen, Visa und American Express beendeten die Zusammenarbeit mit CardSystems. Am 23.02.2006 einigte sich die FTC mit CardSystems auf ein Verfahren wegen unzureichender Datensicherheit mit unabhängigen Audits über 20 Jahre, ohne Geldbuße.

Wer konkret hinter dem Angriff auf CardSystems steckte, ist öffentlich nicht dokumentiert. Die genaue Zahl der tatsächlich exportierten und missbrauchten Datensätze bleibt unklar, öffentlich kursiert vor allem die Obergrenze von rund 40 Millionen gespeicherten Kartendatensätzen.

Das ICIJ veröffentlichte am 19.01.2020 die Luanda Leaks, basierend auf mehr als 715.000 geleakten Dokumenten zur früheren Sonangol-Chefin Isabel dos Santos, Tochter des langjährigen angolanischen Präsidenten. An der Auswertung waren 36 Medienpartner und mehr als 120 Journalisten aus rund 20 Ländern beteiligt. Die Dokumente zeigten ein Netzwerk von mehr als 400 Firmen in 41 Ländern, über das öffentliche Gelder aus Angola abgeflossen sein sollen. Als Folge fror die Schweiz im August 2020 Vermögenswerte von rund 900 Millionen US-Dollar ein, Angola erhob im Januar 2024 in zwölf Anklagepunkten Vorwürfe gegen dos Santos, Großbritannien verhängte im November 2024 Sanktionen.

Isabel dos Santos bestreitet über ihre Anwälte jegliches Fehlverhalten. Gegen sie liegt seit 2022 eine Interpol-Red-Notice vor, eine tatsächliche Festnahme oder Auslieferung aus den Vereinigten Arabischen Emiraten ist bislang nicht erfolgt.

Am 03.04.2016 veröffentlichten das ICIJ und die Süddeutsche Zeitung gemeinsam mit über 100 weiteren Medienpartnern die Panama Papers. Grundlage waren 11,5 Millionen interne Dokumente der panamaischen Kanzlei Mossack Fonseca mit einem Gesamtvolumen von 2,6 Terabyte. Rund 400 Journalisten aus fast 80 Ländern werteten die Daten über ein Jahr lang aus. Die Unterlagen dokumentieren mehr als 214.000 Offshore-Gesellschaften mit Verbindungen zu Personen in über 200 Ländern und Territorien, darunter amtierende und ehemalige Staats- und Regierungschefs.

Nicht abschließend geklärt ist bis heute die konkrete Identität der Quelle, die die Dokumente an die Süddeutsche Zeitung weitergab, sie trat öffentlich nur unter dem Pseudonym John Doe auf. Offen bleibt, in welchem Umfang die sichtbaren Offshore-Strukturen jeweils legale Steuergestaltung oder illegale Steuerhinterziehung darstellten, da dies für jeden Einzelfall gesondert zu prüfen war. Die technische Vorgehensweise des Datenabflusses (Hack versus Insider-Leak) wurde nicht im Detail forensisch belegt.

Das ICIJ veröffentlichte am 05.11.2017 die Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien überwiegend von der Offshore-Kanzlei Appleby mit Sitz in Bermuda, ergänzt um Unterlagen des Dienstleisters Asiaciti Trust und Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dateien zuerst und teilte sie mit dem ICIJ und 95 Medienpartnern weltweit. Die Auswertung deckte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs sowie Steuerplanung von rund 100 multinationalen Konzernen auf.

Wie die Süddeutsche Zeitung ursprünglich Zugang zu den Appleby-Dateien erhielt, ist nicht öffentlich dokumentiert. Nicht alle genannten Politiker und Unternehmen wurden individuell strafrechtlich verfolgt, die Nennung in den Papieren allein belegt keine Rechtswidrigkeit der jeweiligen Offshore-Strukturen.

Europol meldete am 26.03.2018 die Festnahme des mutmaßlichen Anführers der Cyberkriminellen-Gruppe Carbanak/Cobalt in Alicante, Spanien. Die Gruppe soll zwischen 2013 und 2018 mehr als 100 Banken und Finanzinstitute in rund 40 Ländern angegriffen haben, Europol beziffert den Gesamtschaden auf über eine Milliarde Euro. Die Täter verschafften sich per Spear-Phishing Zugang zu Bankmitarbeiter-Rechnern und ließen Geldautomaten ferngesteuert Bargeld ausgeben oder manipulierten Kontostände direkt.

Den vollständigen Namen des in Spanien festgenommenen Verdächtigen nannte Europol offiziell nicht. Ob mit dieser einen Festnahme die gesamte Gruppenstruktur zerschlagen wurde oder weitere Mitglieder unbehelligt blieben, ist öffentlich nicht abschließend dokumentiert.

Das US-Justizministerium gab am 01.08.2018 die Festnahme dreier ukrainischer Staatsangehöriger bekannt, denen die Mitgliedschaft in der Hackergruppe FIN7 vorgeworfen wird. Seit mindestens 2015 griff FIN7 mittels Phishing und der Schadsoftware Carbanak Kassensysteme von mehr als 100 US-Unternehmen an, vor allem Restaurant- und Hotelketten wie Arby's, Chipotle und Chili's. Nach DOJ-Angaben wurden mehr als 15 Millionen Zahlungskartendaten von über 6.500 Kassenterminals an mehr als 3.600 Geschäftsstandorten entwendet.

Die genaue Gesamtschadenssumme in US-Dollar wird von der DOJ nicht beziffert. Die drei genannten Personen waren zum Zeitpunkt der Pressemitteilung erst angeklagt, nicht verurteilt, spätere Verurteilungen sind nicht Teil dieser Quelle.

Beim Target-Datenleck im Weihnachtsgeschäft 2013 verschafften sich Angreifer ab dem 15.11.2013 mit gestohlenen Netzwerk-Zugangsdaten der HLK-Firma Fazio Mechanical Services aus Pennsylvania Zugang zu Target-Systemen. Fazio Mechanical hatte Fernzugriff auf administrative Target-Systeme für Rechnungsstellung und Projektmanagement. Über diesen Zugang installierten die Angreifer RAM-scrapende Malware auf Kassensystemen und erbeuteten zwischen dem 27.11. und 15.12.2013 Daten von rund 40 Millionen Kredit- und Debitkarten.

Wie genau die Zugangsdaten von Fazio Mechanical ursprünglich erbeutet wurden, ist nicht abschließend öffentlich dokumentiert. Fazio Mechanical erklärte, keine Fernüberwachung von HLK-Anlagen bei Target durchgeführt zu haben, ihr Zugang habe sich auf administrative Funktionen beschränkt.

Im August 2016 wurden bei einem Hack der Kryptobörse Bitfinex rund 119.754 Bitcoin gestohlen. Am 08.02.2022 gab das US-Justizministerium bekannt, Ilya Lichtenstein und seine Ehefrau Heather Morgan verhaftet zu haben, die Behörden beschlagnahmten dabei über 3,6 Milliarden US-Dollar in Kryptowährung. Im August 2023 bekannten sich beide schuldig, Lichtenstein räumte ein, der ursprüngliche Hacker der Bitfinex-Börse gewesen zu sein.

Wie die Angreifer 2016 konkret in die Bitfinex-Systeme eindrangen, ist nicht Gegenstand dieser Pressemitteilung. Ob Lichtenstein alleiniger Täter des ursprünglichen Hacks war oder mit weiteren Personen zusammenarbeitete, ist nicht abschließend geklärt.